1.
MOBILE
Workshop Mobile Development
Fabio Lalli
CEO IQUII
!
26 Giugno 2014 Fabio CIOTOLI
CTO IQUII

2.
WELCOME
#OPENIQUII

3.
MERCATO
Sviluppo
security

4.
mercato

5.
Da dove iniziare?

6.
framework o nativo?

7.
che tipo di app?

8.
Librerie

9.
mobile security

10.
DEVICE

11.
NETWORK

12.
DATA

13.
15Tips & tricks

14.
dati
•Non memorizzare dati
sensibili
•Master key cifrata con
pass-phrase dell’utente
•Algorimo robusto, es.
PBKDF2 con molte
iterazione (CPU
consuming)
•Memorizzarli
temporaneamente in RAM
1

15.
caching
• Log
• Crash
• Cookies
2

16.
parametri
!
• Query String in log e
cronologie
• Utilizzare POST con CSFR
Protection
• Se necessario negoziare una
chiave con il server (es. Diffie-
Hellman) 3

17.
ssl/tls
• Man-in-the-middle attack
possibile
• Trusted root CA
4

18.
Unique
Identifier
• Offuscare gli ID
• Token con mapping server-
side
• RAM Attack sul backend
5

19.
anti
reverse
• Utilizzare offuscatori
• Objective C è riflessivo
• Runtime attack
6

20.
logica
semplice
• if (proUser == 1)
• Con debug a basso livello
(assembly) è facile
intercettare i CBZ
(compare-and- branch-
on-zero) o CBNZ.
• Considerare paradigmi più
robusti 7

21.
keyboard
cache
• Su iOS e Android vengono
loggate le parole digitate
• Disabilitare la correzione
automatica sui TextField
8

22.
snapshot
• Per fornire animazione più
fluide iOS esegue snapshot
• Gestire il background
dell’app
9

23.
broadcast
intent
• Evitare ove possibile il
broadcast intent
• Anche specificando
permessi, qualsiasi app
potrebbe implementare gli
stessi servizi dell’app
ricevente
10

24.
keychain
• Il keychain è memorizzato in
maniera cifrata nel backup
itunes
• È possibile decifrarlo
• Impedisce il cambio di
certificato
11

25.
webview
• Disabilitare javascript e
plugin
• Disabilitare accesso ai file
locali
• Prevenire il caricamento di
contenuti da hosts di terze
parti
12

26.
ram
• Non mantenere informazioni
in RAM
• Variabili null appena possibile
13

27.
Delete
file
• File.delete() non sicuro
• Sovrascrivere i file non
funziona nel mobile
• Assumere che ogni file può
essere recuperato e
memorizzarlo cifrato
14

28.
in-app
Purchases
• Verificare ricevute tramite
server
• Non embeddare contenuti
15

29.
Terrorizzati?

30.
Prossimi eventi
23 Aprile – Mobile Marketing // Fabio Lalli – Fabio Ciotoli
22 Maggio – Social Media Marketing // Tommaso Sorchiotti – Simone Cinelli
26 Giugno – Mobile Development // Fabio Ciotoli – Fabio Lalli
10 Luglio – Wearable // Fabio Lalli – Alessandro Prunesti
18 Settembre – Social Media Monitoring // Lorenzo Sfienti – Simone Cinelli
16 Ottobre – Personal and Executive branding // Tommaso Sorchiotti – Alessandro Prunesti
!
20 Novembre – Gamification // Fabio Lalli – Alessandro Prunesti
11 Dicembre – Innovazione // Fabio Lalli

31.
NETWORKING time